🔒 Cifrando tu Red: Guía Completa de Implementación de IPsec VPN entre Gateways

La seguridad en la comunicación entre redes distribuidas es un pilar fundamental en la ciberseguridad moderna. Las Redes Privadas Virtuales (VPNs) son la herramienta esencial para establecer canales de comunicación seguros a través de redes públicas, como Internet. Dentro de las VPNs, IPsec (Internet Protocol Security) es un estándar robusto y ampliamente adoptado, especialmente para configuraciones de sitio a sitio (site-to-site) entre gateways.

Este tutorial te proporcionará una guía exhaustiva para configurar una VPN IPsec entre dos dispositivos de red (gateways), permitiendo que redes enteras se comuniquen de forma segura y cifrada. Exploraremos los conceptos clave, los modos de operación y la configuración práctica paso a paso.

🎯 ¿Qué es IPsec y Por Qué Usarlo?

IPsec es un conjunto de protocolos que proporciona seguridad a nivel de la capa de red (Capa 3 del modelo OSI) para el protocolo IP. Su principal objetivo es asegurar las comunicaciones garantizando la confidencialidad, integridad y autenticación de los paquetes de datos.

Componentes Clave de IPsec

• AH (Authentication Header): Proporciona autenticación y garantiza la integridad de los datos. No cifra el tráfico.
• ESP (Encapsulating Security Payload): Ofrece confidencialidad (cifrado), autenticación e integridad. Es el más comúnmente usado para VPNs.
• IKE (Internet Key Exchange): Protocolo utilizado para establecer asociaciones de seguridad (SAs) entre los peers y negociar las claves de cifrado. IKE tiene dos versiones principales: IKEv1 e IKEv2.

Modos de Operación

IPsec puede operar en dos modos principales:

1. Modo Transporte: Solo se cifran y/o autentican los datos de la carga útil del paquete IP. El encabezado IP original se mantiene. Se usa principalmente para la comunicación host-to-host.
2. Modo Túnel: Todo el paquete IP original (encabezado incluido) se encapsula dentro de un nuevo paquete IP, que luego se cifra y/o autentica. Este es el modo preferido para las VPNs site-to-site entre gateways, ya que oculta las direcciones IP internas de las redes protegidas.

🛠️ Requisitos Previos

Antes de sumergirnos en la configuración, asegúrate de tener lo siguiente:

• Dos dispositivos de red (gateways): Pueden ser routers, firewalls o servidores con capacidad de IPsec (ej., pfSense, Cisco ASA, FortiGate, o Linux con StrongSwan/LibreSwan).
• Conectividad IP: Ambos gateways deben tener conectividad IP entre sus interfaces externas a través de Internet.
• Direcciones IP Públicas: Cada gateway necesitará una dirección IP pública estática o un nombre de dominio dinámico (DDNS) si la IP es dinámica.
• Rangos de Red Privada: Conocer los rangos de red (ej., 192.168.1.0/24 y 192.168.2.0/24) que se comunicarán a través de la VPN.
• Permisos Administrativos: Acceso administrativo completo a ambos gateways para realizar las configuraciones necesarias.

Ejemplo de Topología de Red

Para este tutorial, utilizaremos la siguiente topología de ejemplo:

📖 Fases de Negociación de IKE

La negociación de IKE para establecer una Asociación de Seguridad (SA) IPsec se divide en dos fases:

Fase 1: Creación de la IKE SA (Main Mode o Aggressive Mode)

En esta fase, los dos peers IPsec establecen un canal de comunicación seguro y autenticado para proteger las negociaciones posteriores. Se establecen los parámetros de cifrado, hashing y autenticación para la Fase 1, y se genera una clave maestra compartida.

Parámetros Típicos de Fase 1:

• Algoritmo de Cifrado: AES-256, AES-128, 3DES
• Algoritmo de Hashing/Integridad: SHA256, SHA384, MD5
• Grupo Diffie-Hellman (DH): Grupo 2, 5, 14, 19, 20, 21 (para Perfect Forward Secrecy - PFS)
• Método de Autenticación: Clave pre-compartida (PSK), certificados digitales
• Tiempo de Vida (Lifetime): Duración de la Fase 1 SA (ej., 8 horas)

Fase 2: Creación de la IPsec SA (Quick Mode)

Una vez que se ha establecido un canal seguro en la Fase 1, la Fase 2 negocia los parámetros para las Asociaciones de Seguridad IPsec (SAs) que se utilizarán para proteger el tráfico de datos real. Se establecen las políticas de seguridad para el tráfico específico que pasará por el túnel.

Parámetros Típicos de Fase 2:

• Protocolo IPsec: ESP (más común)
• Algoritmo de Cifrado (ESP): AES-256, AES-128
• Algoritmo de Hashing/Integridad (ESP): SHA256, SHA384
• Grupo Diffie-Hellman (DH): Se puede usar un grupo DH para Perfect Forward Secrecy (PFS) en Fase 2. Si se habilita, debe coincidir.
• Tiempo de Vida (Lifetime): Duración de la Fase 2 SA (ej., 1 hora o un número de KB/MB).
• Selectores de Tráfico (Proxies Locales/Remotos): Las subredes específicas que se permitirán a través del túnel (ej., 192.168.1.0/24 a 192.168.2.0/24).

🚀 Configuración Paso a Paso (Ejemplo con StrongSwan en Linux)

Aunque los nombres de los campos pueden variar ligeramente entre diferentes plataformas (pfSense, FortiGate, Cisco), los conceptos subyacentes y los parámetros son los mismos. Usaremos un ejemplo basado en StrongSwan en Linux, que es una implementación robusta y de código abierto de IPsec.

1. Instalación de StrongSwan (si aplica)

sudo apt update
sudo apt install strongswan strongswan-pki

2. Configuración del Gateway A (Local)

Editaremos el archivo de configuración principal de StrongSwan, típicamente /etc/ipsec.conf.

sudo nano /etc/ipsec.conf

Añade la siguiente configuración al final del archivo:

# /etc/ipsec.conf para Gateway A (203.0.113.1)

config setup
    charondebug="ike 2, knl 2, cfg 2, net 2, esp 2, dmn 2, mgr 2"

conn VPN_to_GatewayB
    left=203.0.113.1              # IP pública de Gateway A
    leftsubnet=192.168.1.0/24      # Red interna de Gateway A
    right=198.51.100.1             # IP pública de Gateway B
    rightsubnet=192.168.2.0/24     # Red interna de Gateway B
    ike=aes256-sha256-modp2048!     # Fase 1: Cifrado, Hash, Grupo DH (ej. AES-256, SHA-256, DH Group 14)
    esp=aes256-sha256-modp2048!     # Fase 2: Cifrado, Hash, Grupo DH para PFS (ej. AES-256, SHA-256, DH Group 14)
    ikelifetime=8h                 # Duración de la Fase 1 SA
    lifetime=1h                    # Duración de la Fase 2 SA
    keyexchange=ikev2              # Usar IKEv2 (recomendado)
    authby=psk                     # Autenticación por clave pre-compartida
    auto=start                     # Iniciar el túnel automáticamente al arrancar StrongSwan
    dpddelay=30                    # Retraso para Dead Peer Detection (DPD)
    dpdtimeout=120                 # Tiempo de espera para DPD
    dpdaction=restart              # Acción de DPD si se detecta un peer muerto

Ahora, define la clave pre-compartida en /etc/ipsec.secrets:

sudo nano /etc/ipsec.secrets

Añade la línea:

# /etc/ipsec.secrets para Gateway A

203.0.113.1 198.51.100.1 : PSK "MiClaveUltraSecreta123!"

3. Configuración del Gateway B (Remoto)

Editaremos el archivo de configuración principal de StrongSwan, típicamente /etc/ipsec.conf.

sudo nano /etc/ipsec.conf

Añade la siguiente configuración al final del archivo:

# /etc/ipsec.conf para Gateway B (198.51.100.1)

config setup
    charondebug="ike 2, knl 2, cfg 2, net 2, esp 2, dmn 2, mgr 2"

conn VPN_to_GatewayA
    left=198.51.100.1              # IP pública de Gateway B
    leftsubnet=192.168.2.0/24      # Red interna de Gateway B
    right=203.0.113.1              # IP pública de Gateway A
    rightsubnet=192.168.1.0/24     # Red interna de Gateway A
    ike=aes256-sha256-modp2048!     # Fase 1: Cifrado, Hash, Grupo DH (DEBE COINCIDIR)
    esp=aes256-sha256-modp2048!     # Fase 2: Cifrado, Hash, Grupo DH para PFS (DEBE COINCIDIR)
    ikelifetime=8h                 # Duración de la Fase 1 SA
    lifetime=1h                    # Duración de la Fase 2 SA
    keyexchange=ikev2              # Usar IKEv2 (recomendado)
    authby=psk                     # Autenticación por clave pre-compartida
    auto=start                     # Iniciar el túnel automáticamente al arrancar StrongSwan
    dpddelay=30
    dpdtimeout=120
    dpdaction=restart

Ahora, define la clave pre-compartida en /etc/ipsec.secrets:

sudo nano /etc/ipsec.secrets

Añade la línea:

# /etc/ipsec.secrets para Gateway B

198.51.100.1 203.0.113.1 : PSK "MiClaveUltraSecreta123!"

4. Habilitar Reenvío IP (IP Forwarding)

Para que los gateways puedan reenviar tráfico entre las redes, el reenvío IP debe estar habilitado. En Linux, hazlo de forma persistente:

sudo nano /etc/sysctl.conf

Descomenta o añade las siguientes líneas:

net.ipv4.ip_forward = 1
net.ipv6.conf.all.forwarding = 1

Guarda y aplica los cambios:

sudo sysctl -p

5. Configurar Reglas de Firewall (IPTables o similar)

Es crucial permitir el tráfico IPsec a través de los firewalls de ambos gateways. Necesitarás permitir los siguientes puertos y protocolos:

• UDP Puerto 500: Para IKE (Fase 1).
• UDP Puerto 4500: Para NAT Traversal (NAT-T), si alguno de los gateways está detrás de un NAT.
• Protocolo ESP (IP Protocol 50): Para el tráfico cifrado de la Fase 2.
• Protocolo AH (IP Protocol 51): Si usas AH, aunque es menos común que ESP.

Ejemplo de reglas básicas para iptables en ambos gateways (ajusta según tu interfaz WAN, por ejemplo eth0):

# Permitir IKE (Puerto 500 UDP)
sudo iptables -A INPUT -p udp --dport 500 -j ACCEPT
sudo iptables -A OUTPUT -p udp --sport 500 -j ACCEPT

# Permitir NAT Traversal (Puerto 4500 UDP) - si es necesario
sudo iptables -A INPUT -p udp --dport 4500 -j ACCEPT
sudo iptables -A OUTPUT -p udp --sport 4500 -j ACCEPT

# Permitir ESP (Protocolo 50)
sudo iptables -A INPUT -p 50 -j ACCEPT
sudo iptables -A OUTPUT -p 50 -j ACCEPT

# Opcional: Permitir AH (Protocolo 51)
# sudo iptables -A INPUT -p 51 -j ACCEPT
# sudo iptables -A OUTPUT -p 51 -j ACCEPT

# Permitir el tráfico reenviado a través del túnel
sudo iptables -A FORWARD -s 192.168.1.0/24 -d 192.168.2.0/24 -j ACCEPT
sudo iptables -A FORWARD -s 192.168.2.0/24 -d 192.168.1.0/24 -j ACCEPT

# Guardar las reglas (el comando puede variar según la distribución)
sudo apt install iptables-persistent
sudo netfilter-persistent save

6. Reiniciar StrongSwan

Después de configurar ambos gateways, reinicia el servicio StrongSwan:

sudo systemctl restart strongswan

Para verificar el estado del túnel:

sudo ipsec status
sudo ipsec statusall

Deberías ver que el túnel VPN_to_GatewayB (o VPN_to_GatewayA) está INSTALLED y ESTABLISHED.

✅ Verificación y Resolución de Problemas

1. Verificar el Estado del Túnel

El comando sudo ipsec status es tu mejor amigo. Busca ESTABLISHED en la salida.

2. Ping entre Subredes

Intenta hacer ping desde un host en la Red A (ej., 192.168.1.10) a un host en la Red B (ej., 192.168.2.10).

ping 192.168.2.10

Si el ping tiene éxito, ¡felicidades, tu VPN IPsec está funcionando!

3. Revisar los Logs

Si el túnel no se establece, los logs de StrongSwan son la clave. Puedes verlos con:

sudo journalctl -u strongswan -f

Busca mensajes de error relacionados con la negociación de IKE. Los errores comunes incluyen:

• no proposal chosen: Los parámetros de Fase 1 o Fase 2 (cifrado, hash, DH group) no coinciden.
• authentication failed: La clave pre-compartida (PSK) es incorrecta o los IDs de peer no coinciden.
• no traffic selectors configured: Los leftsubnet o rightsubnet no están correctamente definidos o no coinciden con el tráfico que intentas enviar.
• connection refused o timeout: Problemas de conectividad de red o firewall bloqueando el puerto 500/4500.

4. Asegúrate que las políticas de seguridad (SAs) son correctas

El comando sudo ip xfrm state mostrará las SAs activas para la Fase 2, y sudo ip xfrm policy mostrará las políticas de seguridad que dirigen el tráfico al túnel. Asegúrate que las subredes de origen y destino son correctas.

5. NAT Traversal

Si uno o ambos gateways están detrás de un NAT (ej., un router doméstico), asegúrate de que el puerto UDP 4500 está abierto y que el tráfico se reenvía correctamente al gateway interno. IPsec con NAT-T encapsula el tráfico IKE y ESP en el puerto UDP 4500.

🔄 Regeneración de Claves (Rekeying)

IPsec está diseñado para regenerar claves periódicamente (rekeying) para mejorar la seguridad. Esto ocurre automáticamente cuando la ikelifetime (Fase 1) o lifetime (Fase 2) expiran. StrongSwan gestionará esto sin interrupción del servicio, siempre que la configuración sea estable.

Conclusión

La implementación de una VPN IPsec site-to-site es un componente vital para la seguridad de las comunicaciones en entornos empresariales y para cualquier persona que necesite interconectar redes de forma segura a través de Internet. Siguiendo esta guía, habrás configurado un túnel robusto que protege la confidencialidad, integridad y autenticación de tus datos. Recuerda siempre mantener tus sistemas actualizados y revisar periódicamente las configuraciones de seguridad.